黄牛抢票、篡改志愿、入侵机器人：AI时代计算机犯罪的法律边界

在人工智能与智能设备日益普及的今天，什么样的行为算是"恶作剧"，什么样的行为已经踩到了刑法的红线？法学教授罗翔在其最新一期普法内容中，以"篡改高考志愿""黄牛抢票""入侵陪伴机器人"等极具现实感的案例，系统梳理了破坏计算机信息系统罪及其相关罪名的法律边界。本文结合其观点，从技术与法律交叉的视角展开分析。

恶作剧的法律边界：篡改高考志愿为何构成犯罪

每年高考结束后，都会出现因嫉妒而篡改同学报考志愿的事件。很多人将其视为无伤大雅的恶作剧，但罗翔明确指出：恶作剧也是有法律边界的。

他用两个极端案例说明恶搞可能酿成大祸：捅了别人马蜂窝导致对方被蜇死，或将西瓜伪装成头颅吓死他人，这些行为都可能构成过失致人死亡罪。而篡改高考志愿，同样是违法乃至犯罪行为。

中国裁判文书网登载的一份判决书就是明证：某职业技术学校一名学生出于嫉妒，偷偷登录七名同学的高考志愿填报账号并篡改志愿，导致七名受害者无法就读第一志愿学校。法院认定其"违反国家规定，对计算机信息系统存储、处理和传输的数据进行篡改，后果严重"，构成破坏计算机信息系统罪，最终判处有期徒刑一年半。

值得注意的是，高考志愿填报系统属于典型的"教育行政信息系统"，其数据具有极强的一次性与不可逆性——志愿一旦被篡改并通过审核期，受害者往往只能在录取结果公布后才能察觉，补救窗口极为有限。从技术架构看，高考志愿系统通常采用时间窗口锁定机制：填报截止后数据即进入只读状态并同步至录取数据库，任何后续更正都需经过繁琐的行政审批流程，且在多数省份实际上无法实现。这种"技术操作简单、后果却难以挽回"的特征，正是该行为被认定为"后果严重"的重要依据。此类案件还具有较强的心理动机规律：施害者通常与受害者存在直接竞争关系，嫉妒心理驱动的犯罪往往发生在熟人之间，这也呼应了罗翔在结尾对"控制嫉妒"的警示。

这一判决揭示了一个关键点：只要对计算机信息系统中的数据进行删除或修改，就可能触犯刑法，而非仅仅是"道德问题"。

破坏计算机信息系统罪的三种行为方式

破坏计算机信息系统罪规定于《刑法》第286条，罗翔将其归纳为三种典型行为方式。值得注意的是，该条款最早确立于1997年刑法修订，彼时互联网在中国刚刚起步——1997年，中国网民数量仅约62万人，网络犯罪尚属新鲜事物，立法者已具备前瞻性地将相关行为入罪。随着网络技术的飞速发展，2011年最高人民法院、最高人民检察院联合发布《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》，对"后果严重"的认定标准、破坏性程序的范围等作出细化规定，使该罪名得以适应云计算、移动互联网时代的新型犯罪形态。此后，随着2017年《网络安全法》的实施，计算机信息系统的保护范围进一步延伸至关键信息基础设施，形成行政法规与刑事法律协同保护的双层体系。

第一种：干扰系统功能

违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成系统不能正常运行，后果严重。简称"删、修、增、干"。

第二种：篡改系统数据

违反国家规定，对计算机信息系统中存储、处理或传输的数据和应用程序进行删除、修改、增加的操作，后果严重。前述篡改高考志愿案即属此类。

第三种：传播破坏性程序

故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重。

所谓"破坏性程序"，在2011年司法解释中被明确扩展为包括木马程序、蠕虫病毒、僵尸网络控制程序等多种形态，不再局限于传统意义上的"病毒"。这一扩展具有重要现实意义：现代网络攻击工具往往不具备自我复制的病毒特征，但同样具有极强的破坏能力。勒索软件（Ransomware）即是典型例子——它通过加密受害者文件索要赎金，技术上并非传统病毒，但在司法解释框架下依然可被认定为"破坏性程序"。2017年席卷全球的WannaCry勒索软件攻击造成超过150个国家的医疗、电信、金融系统瘫痪，直接经济损失估计超过80亿美元，深刻揭示了此类程序的现实危害，也印证了司法解释扩张解释的必要性。

该罪基本刑为五年以下有期徒刑，后果特别严重的最高可判至15年。这样的刑期设置，反映出立法者对信息系统安全的高度重视。

黄牛抢票软件：为何可能构成计算机犯罪

本期内容中最具现实意义的部分，是罗翔对"黄牛抢票"行为的法律定性。

无论是演唱会抢票、春运火车票代抢，还是留学签证抢号、学校抢课，许多人习惯找"黄牛"帮忙。罗翔指出，这些黄牛开发的抢号软件，在司法实践中被解释为"干扰计算机信息系统"，从而可能构成破坏计算机信息系统罪。

从技术原理看，抢票软件通常通过模拟人工请求、高频轮询接口、绕过验证码机制等方式，在极短时间内发送大量并发请求，抢占本应公平竞争的票务资源。这类软件的核心技术特征包括：使用自动化脚本绕过CAPTCHA（全自动区分计算机和人类的图灵测试）验证、维护大量代理IP池以规避频率限制、逆向解析票务平台的API接口协议等。其中，逆向解析API协议本身已涉嫌违反平台服务协议及《反不正当竞争法》；而维护数百乃至数千个代理IP池所产生的异常流量，在技术表现上与DDoS（分布式拒绝服务）攻击具有一定相似性——都是通过异常流量使目标系统无法正常响应合法用户请求。这类软件造成目标服务器的异常负载，干扰了系统对普通用户的正常服务响应，契合司法解释中"干扰计算机信息系统正常运行"的认定要件——这也是为何看似"技术上并未破坏任何数据"的抢票行为，依然可能触犯刑法的核心逻辑。

根据相关司法解释，黄牛只要违法所得达到五千元以上，或造成经济损失一万元以上，就可能达到犯罪标准。看似"帮人抢票赚点辛苦费"的灰色生意，其实随时可能越过犯罪的门槛。

最高人民法院还登载了一个"流量劫持"的指导案例：用户访问某门户网站时被跳转到赌博网站——技术上表现为对特定域名的访问由原IP地址被篡改为指定IP地址，导致用户无法访问原网站或访问虚假网站，从而窃取资料或破坏正常服务。

理解这一案例需要了解DNS劫持的技术机制：DNS（域名系统，Domain Name System）是互联网的"电话簿"，负责将人类可读的域名（如www.example.com）解析为机器可识别的IP地址。DNS劫持指攻击者通过污染DNS缓存、控制DNS服务器或在网络传输层篡改DNS响应报文等方式，将用户对合法网站的访问重定向至恶意服务器。而更广泛的流量劫持还包括BGP路由劫持（通过伪造路由公告将大范围网络流量引入攻击者控制的节点）和HTTP劫持（运营商或中间人在HTTP明文传输中注入恶意内容）等多种手段。由于HTTPS加密的普及，纯粹的HTTP劫持已逐渐减少，但BGP路由劫持和针对DNS over UDP协议的攻击仍是当前主要威胁。这类攻击对用户完全透明，受害者往往毫无察觉，危害尤为隐蔽，也是最高法将其列为指导案例的重要原因。法院最终认定被告人构成破坏计算机信息系统罪，为流量劫持、DNS劫持等技术黑产的定性提供了重要参考。

AI时代的新问题：手机、机器人算不算"计算机"

随着智能设备普及，一个自然的疑问浮现：法条写的是"计算机"，那破坏手机、入侵机器人，算不算计算机犯罪？

罗翔的回答明确：智能设备都可以被解释为计算机。今天的手机与计算机在本质上并无区别；在人工智能不断发展的当下，各类AI设备同样可以纳入"计算机"的范畴。

从法律解释学的角度，这一结论采用的是目的解释与扩张解释方法——立法目的在于保护信息系统安全，而非拘泥于"计算机"的字面含义。这一趋势并非中国独有：欧盟《网络和信息系统安全指令》（NIS2）将"信息系统"定义为任何存储、处理、检索或传输数字数据的设备或一组相互连接的设备；美国《计算机欺诈和滥用法》（CFAA）则将"受保护的计算机"定义扩展至"任何用于州际或国际贸易或通信的计算机"，在实践中几乎涵盖所有联网设备。这两部法律均不以设备形态作为保护条件，而是以其数据处理功能为核心判断标准，体现了各国立法面对智能化浪潮的共同应对策略。

罗翔举了两个颇具前瞻性的例子：张三攻击陪伴式机器人的控制设备，直接让机器人将主人打死；或者王武侵入扫地机器人，通过其摄像头窥探他人生活——这些行为都属于侵入计算机设备。

随着家庭机器人、智能音箱、扫地机器人等设备走进千家万户，它们所承载的摄像头、麦克风与控制系统，一旦被非法侵入或控制，不仅涉及隐私泄露，更可能带来人身安全风险。从信息安全研究角度，这类IoT（物联网）设备往往存在固件更新不及时、默认密码未修改、通信协议加密薄弱等安全短板，是网络攻击者的重点目标。2016年震惊全球的Mirai僵尸网络攻击，正是通过控制数十万台摄像头、路由器等IoT设备发动DDoS攻击，导致美国东海岸大规模断网——这一真实案例深刻揭示了智能设备安全漏洞的现实危害。随着具身智能（Embodied AI）技术的快速发展，未来的家用机器人将具备更强的行动能力和环境感知能力，其一旦被恶意控制，潜在危害将远超传统网络攻击的数据层面，延伸至真实物理空间的人身安全威胁。法律对"计算机"的扩张解释，正是为了应对这一日益严峻的现实。

计算机犯罪罪名体系：区分入侵对象与行为性质

计算机犯罪并非只有破坏计算机信息系统罪，还包括：非法侵入计算机信息系统罪、非法获取计算机信息系统数据罪、非法控制计算机信息系统罪、提供侵入或非法控制计算机信息系统程序工具罪等。

理解这一罪名体系，有助于把握其内在逻辑：中国刑法对计算机犯罪的罪名设计遵循"侵入—获取—控制—破坏—提供工具"的行为链逻辑，与网络攻击的实际技术路径高度吻合。在典型的APT（高级持续性威胁）攻击中，攻击者往往先通过漏洞利用完成初始侵入，再横向移动获取敏感数据，进而建立持久控制通道，最终实施破坏或长期潜伏——这一技术路径恰好对应刑法罪名体系的每个环节。APT攻击的"持续性"特征尤为值得关注：攻击者可能在目标系统内潜伏数月乃至数年，通过植入后门程序实现长期驻留，期间持续渗透内网、窃取数据，而目标方毫无察觉。2020年曝光的SolarWinds供应链攻击事件正是典型案例——攻击者在软件更新包中植入恶意代码，借助合法软件的分发渠道入侵全球数千家政府机构和企业，完整地体现了"工具提供—系统侵入—数据获取—长期控制"的完整犯罪链条，也验证了将上游工具开发者纳入刑事追诉范围的立法必要性。

罗翔重点区分了几个易混淆的罪名：

非法侵入计算机信息系统罪特指侵入"国家事务、国防建设、尖端科学技术领域"的系统，最高判三年。例如张三侵入交管局网站删除交通违法记录，即构成此罪。

但如果张三侵入的是学校教务处网站，把自己的成绩改成异常数值，由于侵入的并非上述三类特殊领域，不构成非法侵入罪；而由于其属于删改数据，则可能构成破坏计算机信息系统罪。

至于控制陪伴机器人、侵入扫地机器人的行为，则可能构成非法控制计算机信息系统罪。若同时符合故意杀人等其他犯罪，则依"从一重罪论处"原则处理。

技术之外：控制嫉妒，回归理性

罗翔在结尾从法律回归到人性。他坦言，几乎每个人或多或少都有嫉妒之心，而且越是亲近的人越容易激发嫉妒——人们很少嫉妒马斯克，却可能嫉妒宿舍里考上清北的同学。

他给出的建议是：控制情绪，不要让嫉妒转化为仇恨乃至违法犯罪。"人真正的竞争对手其实是自己"，当嫉妒涌上心头时，不妨尝试在内心为对方送上祝福。

从技术从业者的角度看，这期内容的价值在于：它清晰界定了数据篡改、抢号软件、流量劫持、智能设备入侵等常见技术行为的法律风险。在AI与万物互联的时代，技术能力越强，越需要对法律边界保持敬畏。

核心要点

核心要点

核心要点